操作中的机密与环境变量
学习如何在 GitHub Actions 工作流中安全地存储和使用机密与环境变量。
操作中的机密与环境变量 是 CoddyKit 上的免费 DevOps Bootcamp 课时。 这是第 4 节课，共 4 节。 你可以在下方免费阅读本课时的完整内容 — 然后在浏览器中使用内置代码编辑器和全天候 AI 导师进行实践。 这是 DevOps Bootcamp 学习路径的一部分，你的进度在网页和 CoddyKit 应用中同步。 DevOps Bootcamp 课程共包含 4 节课。
密钥为何重要
工作流通常需要应用程序接口密钥、令牌或密码。将它们硬编码到 YAML 中会使其暴露在仓库中。密钥可以安全、加密地保存这些内容。
密钥存放位置
您可以在仓库的设置 > 密钥和变量 > 操作中添加密钥。密钥会被加密，保存后也不会再次显示。
使用密钥
在工作流步骤中使用 secrets 上下文引用密钥。
steps:
- name: Deploy
run: ./deploy.sh
env:
API_KEY: ${{ secrets.API_KEY }}密钥会被掩码处理
GitHub 会自动在日志中掩码密钥值，将其替换为 ***，从而避免它们泄露到构建输出中。
内置的 GITHUB_TOKEN
每个工作流都会自动获得一个 GITHUB_TOKEN 密钥，用于向仓库进行身份验证，无需您自行创建。
env:
GH_TOKEN: ${{ secrets.GITHUB_TOKEN }}普通环境变量
非密钥配置可以通过 env 键，在工作流、作业或步骤级别设置为普通变量。
env:
NODE_ENV: production仓库变量
可在多个工作流中重复使用的非敏感值，可以存储为仓库变量，并通过 vars 上下文读取。
env:
REGION: ${{ vars.AWS_REGION }}按环境限定的密钥
GitHub 的环境（例如预发布环境和生产环境）可以保存各自的密钥，并要求在使用前获得批准。
jobs:
deploy:
environment: production组织密钥
多个仓库共享的密钥可以在组织级别定义，并限定为选定的仓库。
密钥与来自分叉仓库的拉取请求
出于安全考虑，由分叉仓库的拉取请求触发的工作流不会获得密钥。这样可以防止恶意 PR 窃取凭据。
最佳实践
将密钥的适用范围保持在最小，定期轮换密钥，绝不回显密钥，并尽可能优先使用内置令牌。
快速检查
测试您对操作中密钥的理解。
回顾
您学会了如何在操作中处理密钥：
- 在仓库、组织或环境设置中存储密钥
- 通过
${{ secrets.NAME }}引用密钥 - 密钥值会在日志中被掩码处理
- 为安全起见，来自分叉仓库的 PR 不会获得密钥
常见问题解答
「操作中的机密与环境变量」课时是免费的吗？
是的 — 「操作中的机密与环境变量」的完整文本可在网页上免费阅读。要进行交互式练习（内置代码编辑器和全天候 AI 导师）并解锁 DevOps Bootcamp 课程的其余内容，请升级到 CoddyKit PRO。 DevOps Bootcamp 课程共包含 4 节课。
「操作中的机密与环境变量」这节课中我会学到什么？
学习如何在 GitHub Actions 工作流中安全地存储和使用机密与环境变量。 你通过在浏览器中直接运行的动手代码来练习 DevOps Bootcamp，全天候 AI 导师会在你学习这节课的过程中回答你的问题。
学习 DevOps Bootcamp 需要有经验吗？
无需任何先前经验。CoddyKit 上的 DevOps Bootcamp 课程适合初学者到高级学习者，你可以从这里开始或从头开始，按照自己的节奏学习。 这是第 4 节课，共 4 节。
「操作中的机密与环境变量」课时需要多长时间？
大多数 CoddyKit 课程大约需要 5–10 分钟。每节课都很精短且互动，所以你能稳步进步，并在网页和应用中从离开的地方继续。
我能在这节 DevOps Bootcamp 课中编写并运行代码吗？
能。每节 DevOps Bootcamp 课都包含内置代码编辑器，你可以在浏览器中直接编写并运行真实代码，并获得即时 AI 反馈 — 无需本地设置。